Claude выяснила, откуда АНБ взяло числа для стандарта цифровой подписи

Claude, внутренняя исследовательская модель Anthropic, меньше чем за полчаса нашла, откуда взялись исходные числа эллиптических кривых NIST: их выдал обычный генератор псевдослучайных чисел, который запускали в 1997–1998 годах, взяв за начальное значение текущее время.

Почему это важно: На этих кривых держится ECDSA¹ — самый распространённый стандарт подписи на эллиптических кривых, а непрозрачные числа от Агентства национальной безопасности США (АНБ) четверть века давали повод подозревать в них бэкдор². Anthropic подчёркивает, что находка — не взлом и не новая атака: числа получены простым способом, который теперь может повторить любой, и места для подвоха остаётся гораздо меньше.

Предыстория: Американский институт стандартов NIST утвердил кривые в 2000 году в стандарте цифровой подписи FIPS 186-2.

• Для каждой кривой опубликовали исходное число, из хеша которого выводится один из её параметров, а сами числа АНБ передало без объяснений.
• Сотрудник АНБ Джерри Солинас рассказывал, что это хеш шуточной фразы вроде «Дайте Бобу и Джерри прибавку», но подробностей не помнил; в 2023 году он умер.
• В октябре 2023 года криптограф Филиппо Валсорда объявил награду в 12 288 долларов тому, кто выяснит, из чего получены эти числа.

Повод: Несколько сотрудников Anthropic безуспешно искали ту самую фразу. В октябре 2026 года один из них попросил модель разобраться, как получены числа, не подсказав ей версию с фразой.

Как это работает: Claude пошла не от фразы, а от программы, которая создавала кривые: предположила, что программа брала числа из стандартного генератора псевдослучайных чисел³ языка C 1990-х годов. Выдачу таких старых генераторов можно опознать по приметам.

• В четырёх числах, если разбить каждое на пять блоков по 32 бита, первый бит каждого блока оказался нулём — примета генератора lrand48, который отдаёт лишь 31 бит из 48 бит своего состояния.
• Десять других чисел — для кривых NIST от P-192 до P-521 и пяти примеров из стандарта ANSI X9.62 — программа собрала лишь из нескольких верхних бит каждого значения генератора. По этим битам Claude восстановила состояние генератора алгоритмом LLL — учебным методом для таких задач.
• Прокрученный назад генератор упирается в момент запуска — время Unix, то есть счёт секунд с 1970 года. У этих десяти чисел это даты с мая 1997 по апрель 1998 года. У первых четырёх выходит февраль 1984-го, а удвоенные значения дают 17 апреля 1998-го: возможно, программа делила показание часов пополам.
• Каждое найденное состояние воспроизводит все 160 бит своего числа, а случайно такое не совпадает.

Интрига: Сначала модель не поверила себе. «Хм, подожди. Попробую отнестись скептически: может, я в какой-то симулированной или тестовой среде?» — записала Claude в рассуждениях. Проверив совпадение вычислением, она заключила: «Ого, это настоящее открытие».

Детали: Попутно Claude объяснила базовые точки шести кривых, созданных в мае 1997 года, — P-192 и пяти примеров из стандарта для финансовой отрасли ANSI X9.62. Базовая точка — фиксированная точка кривой: каждый открытый ключ ECDSA — это она, умноженная на закрытый ключ. Эти точки выдал генератор из FreeLIP, библиотеки Арьена Ленстры для вычислений с длинными числами; по данным Anthropic, раньше не удавалось объяснить ни одну базовую точку NIST.

Общая картина: Anthropic одну за другой показывает научные работы с участием Claude: в начале октября астрофизик Брис Менар собрал с агентами Claude карту всего неба в ультрафиолете. В другой работе Claude по описаниям восьми квантовых схем простыми словами почти сама улучшила лучшие опубликованные схемы, местами на порядок и больше.

Что говорят: Организатор награды Валсорда, до 2022 года отвечавший за криптографию в команде языка Go в Google, проверил находку, заново написав алгоритм на Go. «Это помогает заполнить страницу криптографической истории и укрепляет наше доверие к этим важнейшим криптографическим примитивам», — написал он. По его словам, «ещё до этого открытия у практиков не было серьёзных опасений».

Но: Объяснено не всё.

• Подходящие кривые генератор выдавал и раньше, но их пропускали: для P-256 опубликован 1842-й кандидат, хотя годился и 876-й.
• Anthropic считает, что пропусков слишком мало, чтобы за ними стоял выбор ослабленных кривых, а Валсорда признаёт, что хорошего объяснения им не нашли.
• Исходное число кривой B-163 не подошло ни под одну схему, а базовые точки P-224, P-256, P-384 и P-521 по-прежнему не объяснены.

Награду команда из десяти сотрудников Anthropic, среди них Николас Карлини, забрала 15 октября. Деньги пойдут на благотворительность, поэтому по условиям Валсорды сумма утроилась: 36 864 доллара получит Internet Security Research Group⁴.